実際に過去にあったソフトウェア脆弱性に関する事例を、ごく直近のものも含めて調査を行い、その対策等について考察をして社内公開されているWikiにまとめます。 このWikiページには SSAGコアメンバーやLAC先生（図1とそのキャプションを参照）からの経験者コメントが付き、それを読んだりコメントに応じて追加調査を行うことで理解を深めます。 表1にWikiへのまとめの際に使うテンプレート項目を示します。

【図1】 SSAGのメンバー構成。リーダーを含め4名のコアメンバー、5名の留学生、そしてLAC先生からなる。LAC先生とは、セキュリティ・コンサルタントサービス会社である株式会社LACから招聘したアドバイザ

【表1】センスアップトレーニングまとめテンプレート項目

前半のカリキュラム「書籍トレーニング」に似ていますが実際の事例のケーススタディになっている点が大きく異なります。

また、留学生個々人が独立に進めていた書籍トレーニングと違い、センスアップトレーニングは2人1組のペア学習になっている点も特徴です。 各留学生は、必ず全ての人とペアになるようにローテーションが組まれており、2日に1事例の割合で進行していきます。

筆者が行っている2007年度第2期（2007.8〜2007.11）では留学生が5名なので、2ペアと1ソロが出来ることになりますが、 ソロの1名が他の2組のペアの調査に（経験者コメントとは別に）コメントをする係になります。

このように「調査ペアでのディスカッション」「経験者によるコメント」「ペア以外の学習者によるコメント」などが行われることで、 情報セキュリティ学習に必要な多角的な視点を養うことが促進されていると感じています。

参考までに本稿執筆時点で筆者が行ったセンスアップトレーニングのタイトルを表2に列挙します。

【表2】筆者が行ったセンスアップトレーニング題材の一部

SSAGの本来の活動である製品プロジェクトのセキュリティレビュー、すなわち仕様／設計／実装コードの各側面から セキュリティの観点でアドバイスをする業務を実際に行います。 その際、留学生に対して1名以上のSSAGコアメンバーが付くことになります。 平たく言えば本カリキュラムはOJTです。

留学期間を通じて、仕様書ドキュメントを入力とした「ドキュメントレビュー」、製品コードを入力とした「コードレビュー」 を各1プロジェクト分以上はこなすことを目標としています。

本稿執筆時点では筆者は製品プロジェクトとの最初の打ち合わせに参加したのみで、 どちらのレビューもまだ体験していません。 しかし留学終了後には、自分のプロジェクトのセキュリティレビューは留学生自身が主となって行う事が期待されますので、 最も実践的なカリキュラムである本項目は真摯に取り組みたいと考えています。

ここまで紹介したカリキュラムは、前編のものも含めて留学生は全員同じものを行うのが基本です （セキュリティレビューで担当する製品プロジェクトが異なるなどの違いはありますが）。

それ以外に、留学生それぞれに自分の興味のあるテーマ（チャレンジ項目）を選定し、 それについて調査したり、実際に脅威を発動させたりする試みを行います。

機密事項に抵触する事柄も含まれるためどのようなテーマがあるのかを紹介できないのが残念なのですが、 各自のエンジニアとしてのバックボーンを生かしたテーマになることが多く、結果の発表を聞くのが楽しみなカリキュラムです。

SSAGは雰囲気が悪いわけでもないし、コミュニケーションが疎なプロジェクトというわけでもありません。 学習上わからなかった点などについて時に活発にやりとりがあり、対話の頻度という観点ではむしろ高い方だといえます。

しかし、留学による学習というどちらかというと個々に進めていくタイプの活動が多いため、いきおい「プロジェクトとしての一体感」に欠けがちだと感じます。 この点が補完されると留学生・コアメンバーを含め全体の知識レベルの向上スピードがアップするのではないかと思うのです。

今回紹介したセンスアップトレーニングで行われているペア学習に、そのためのヒントをかいま見ることができるのではないでしょうか。

2007年度は1年を4か月ごとに区切って、計3回の留学生受け容れタイミングがあります。 前編にも書いたとおり、現状でも留学前のプロジェクトのスケジュールにあわせてある程度はフレキシブルに対応してます （あるいは対応せざるを得ない）。

もちろん、ここをうまく制度設計して自由なタイミングで留学できるようにすることには、 それを理由に見合わせていた人をキャッチアップできるという大きなメリットがあります。 実際にSSAG留学制度においてもそうした要求は挙がっていると聞いています。

ただし先ほど書いた「一体感」にも通じますが、 「同期生」というツナガリ感は意外と効いているという実感も持っています。 あるクールであえて区切ることにも意義があると思われますので、 メリット／デメリットのトレード・オフを検討する余地はあるでしょう。

「ふりかえり」のところで、普段は接しない他のエンジニアとの交流のメリットについて言及しました。

現状でも十分にいろんなバックボーンを持つエンジニアが留学生として集まってはいるのですが、 どうしても設計や実装に近いエンジニアまたはプロジェクトリーダーの参加が主になっています。

セキュリティ知識の生かせる場所という意味においても、 たとえばテストエンジニアやインテグレーションエンジニアなど、 他の専門分野を持つ人の参加がもっとあるといいのでは、と考えています。

• (a) 現実に実行できること
• (b) 経営層の支持を得られること

(a)のために、教育効果を維持しつつ、コアメンバーとLAC先生の負荷を 如何に小さく抑えるか、に気を付けました。

教材は既存の書籍やWeb上の情報を活用し、また留学生自身ができるだけ 自習できるようなカリキュラムになっているのはこのためです。 プロジェクトとしての一体感が少ないのはこれも影響しているでしょうね。

(b)のために、経営層の不安を取り除き、経営層が納得感を得る制度設計に するよう、気を付けました。

まず制度運用前に1名のメンバーを対象にパイロット的にカリキュラムを実施し、 半年で実際にセキュリティレビューで貢献しているという実績を作りました。 これにより「投資効果が見えにくい」とされる教育活動の不安を取り除きました。

そして、留学生がOJTを通じて学習期間中にもちゃんと会社の業務に貢献するように カリキュラムを組み、OJTで発見・除去できる見積もり脆弱性数を金額換算し、 セキュリティリスクを削減できると説明し、納得してもらいました。

わたしも含め、まだまだ改善の余地はあると思いますが、 高い評価をしてよいと思っています。 さまざまな留学生の都合に柔軟に対応したり、 カリキュラムの改善に努力したり、 リーダーであるわたしの無理難題にも取り組んでくれます。 コアメンバーのこうした柔軟な態度・姿勢が、 何もかもが初めてのことである、 この留学制度という活動を支えてくれていると考えています。

会社から与えられたチャンスを何倍にも増幅させて、 会社と自分の成長に役立ててほしいです。

そして会社が社員に教育の機会を与えることが会社にも大きなメリットとなる、 と経営層も社員も当たり前のことと考え、 ポジティブスパイラルを作り上げてほしいと思います。

自分に与えられたチャンスは、今後の留学生にも受け渡していかねばならない、 という使命感を持って、学習に励んでほしいと思います。

非常によいシステムで、セキュリティ以外でも適用できるような 分野があれば留学制度を導入したいと思っています。 特に通常業務と兼務でないため、学習を阻害する要因がないことが 大きな学習効果を生むと思ってます。

自分の持っている固有技術に別の視点が加わり、思考の幅が 広がることです。卒業後には通常業務の中での設計レビュー、 コードレビューを通して他のメンバーにもその視点を気づかせて 会社全体の意識が向上すればよいと思います。

ぜひさせたいと思います。 当然ながら本人からの強い意志表示があることが前提ですが。 メンバを推薦するからには、学習内容を自分で知りたいという 気持ちもあるので自分の留学もアリです。